Недавно появившийся шифровальщик Hitler (Hitler-Ransomware) на данный момент еще не способен шифровать файлы пользователей, однако отображает экран блокировки и требует €25.
Эксперты , что этот вредонос еще находится в стадии разработки и эта версия просто случайно утекла в сеть. Хотя также эта версия может быть результатом трудов менее опытных разработчиков. У вымогателя присутствуют некоторые орфографические ошибки в интерфейсе, и он не шифрует пользовательские файлы, но может нанести значительный вред системе.
Говоря более конкретно, Hitler-Ransomware (или как написано с ошибкой на экране блокировки Hitler-Ransonware) удаляет все расширения файлов в различных директориях, отображает экран блокировки с Гитлером и начинает обратный отсчет времени в один час. По истечению часа вредоносная программа заставляет компьютер-жертву перезагрузиться и в момент загрузки удаляет все файлы в %UserProfile%.
Обнаруженный специалистом AVG по вредоносным программам , вредоносный код этого вымогателя указывает на то, что его мог создать немецкий разработчик. Найденный в коде текст на немецком подтверждает, что это всего лишь тестовая версия шифровальщика.
По мнению исследователей, исполняемый файл вымогателя является пакетным, который был преобразован в исполняемый установочный файл с другими приложениями в комплекте. После запуска вымогатель удаляет все расширения у файлов в %UserProfile%, в папках: Изображения, Документы, Загрузки, Музыка, Видео, Контакты, Ссылки и Рабочий стол.
Затем шифровальщик извлекает в папку %Temp% три файла: chrst.exe, ErOne.vbs, и firefox32.exe. Кроме того, вредонос копирует файл firefox32.exe в папку Common Startup, чтобы убедиться, что он запустится при загрузке.
Следующим шагом вредонос запускает файл ErOne.vbs, который отображает предупреждение о том, что "Файл не может быть найден!». Это попытка обмануть жертву, заставив думать, что программа не работает должным образом. Затем на выполнение запускается файл chrset.exe, который предназначен для отображения экрана блокировки и запуска таймера.
Когда таймер достигает нуля, вымогатель завершает системный процесс csrss.exe, вызывая сбой Windows, который либо приводит к автоматической перезагрузке, либо находится в состоянии сбоя, пока пользователь сам не перезагрузит систему. После перезагрузки файл firefox32.exe запускается автоматически и удаляет все файлы в папке %UserProfile%.
Исследователи предупреждают, что, несмотря на то, что это тестовая версия шифровальщика, до финального релиза она может претерпеть значительные изменения. Для того, чтобы избежать удаления своих файлов, пользователям рекомендуется отключить автоматическую перезагрузку в случае сбоя Windows. Также мерой предосторожности будет хранение файлов в другом каталоге, а не в %UserProfile%.
C 12 ноября ряд пользователей Windows 10 столкнулись с проблемой обновления и деинсталляции пакетных приложений вроде Microsoft Teams. Microsoft подтвердила наличие бага и отозвала обновление WinAppSDK.
Судя по всему, проблема вызвана пакетом WinAppSDK версии 1.6.2, которая автоматом установилась в системы пользователей после инсталляции приложения, разработанного с использованием Win App SDK.
На затронутых устройствах, работающих под управлением Windows 10 22H2, выводилась ошибка «Something happened on our end» в разделе «Загрузки» Microsoft Store.
«Если вы системный администратор и пытаетесь управлять приложениями через PowerShell с помощью команды “Get-AppxPackage“, система может выдать вам ошибку “Deployment failed with HRESULT: 0x80073CFA“», — объясняет Microsoft.
«Вы также можете столкнуться с проблемами обновления или переустановки Microsoft Teams и других сторонних приложений».
Корпорация пока отозвала проблемную версию WinAppSDK 1.6.2. Один из разработчиков Майк Кридер уточнил, что фикс стоит ждать с выходом WinAppSDK 1.6.3.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
